Die PHP-Entwickler kündigen für heute Patches gegen zwei kritische Schwachstellen an. Die EU-Cybersicherheitsbehörde CERT-EU empfiehlt drastische Maßnahmen: Wer nicht sofort aktualisieren kann, soll betroffene Websites vom Netz nehmen.
Das halbe Web in Gefahr?
Behörde warnt vor PHP-Beben: Seiten notfalls vom Netz nehmen
Das PHP-Projekt hat die Veröffentlichung von Sicherheitsupdates für zwei schwerwiegende Lücken angekündigt. Beide Schwachstellen erreichen laut dem Security-Advisory einen CVSS-v4.0-Score von 9,2. Der Patch soll um 14 Uhr GMT erscheinen, also um 16 Uhr deutscher Zeit. Die Entwickler fordern Anwender auf, unmittelbar nach Verfügbarkeit zu aktualisieren.
Details zu den Lücken, den betroffenen Versionen und den korrigierten Releases will das PHP-Sicherheitsteam erst mit der Veröffentlichung der Patches bekanntgeben. Bereits seit dem Vortag kursieren Spekulationen, dass Websites auf PHP-Basis ernsthaften Angriffen ausgesetzt sein könnten.
Remote Code Execution ohne Anmeldung
Laut CERT-EU deutet die Bewertung auf das Risiko einer nicht authentifizierten Remotecodeausführung hin. Angreifer könnten demnach Schadcode auf verwundbaren Systemen ausführen, ohne sich vorher anmelden zu müssen. Die Behörde rief Organisationen am Dienstag dazu auf, sich auf ein sofortiges Patchen vorzubereiten. Wo das nicht möglich ist, sollten Betreiber erwägen, die betroffenen Seiten offline zu nehmen.
CERT-EU empfiehlt nachdrücklich, PHP-basierte Anwendungen zu identifizieren und Vorkehrungen zu treffen, um Patches zu installieren, sobald korrigierte Versionen verfügbar sind. Ist eine sofortige Behebung nicht möglich, sollten Organisationen in Erwägung ziehen, Anwendungen mit Internetanbindung von öffentlichen Netzwerken zu isolieren, bis ein Patch installiert werden kann.
Sowohl CERT-EU als auch das Australian Cyber Security Centre (ACSC) gehen davon aus, dass sämtliche Versionen ab PHP 5 betroffen sein könnten. Eine offizielle Bestätigung durch das PHP-Projekt steht noch aus. Das ACSC empfiehlt, PHP-Systeme in der eigenen Umgebung zu inventarisieren, Updates vorzubereiten und Anwendungen auf verdächtige Aktivitäten zu überwachen. Eine aktive Ausnutzung war der australischen Behörde zum Zeitpunkt ihrer Warnung nicht bekannt.
Cloudflare: Erste Angriffe, Firewall-Regeln nur Notlösung
Anders schätzt Cloudflare die Lage ein. CTO Dane Knecht berichtete auf X von ersten Angriffen. Das Unternehmen passe seine Firewall-Regeln laufend an neue Angriffsvektoren an. Knecht betonte jedoch, dass es sich lediglich um eine Übergangslösung handle. Betreiber sollten das Update einspielen, sobald es verfügbar ist.
Hohe Verbreitung und großes Risiko
Die potenzielle Tragweite ist erheblich. Wie der Sicherheitsanbieter Huntress in einem Blogbeitrag hervorhebt, steckt PHP hinter Content-Management-Systemen wie WordPress, Drupal und Joomla sowie hinter Magento-Shops, Shared-Hosting-Plattformen und Control Panels. Hinzu kommt zahlreiche Software, die gar nicht offenlegt, dass sie intern auf PHP setzt.
Der Hosting-Anbieter GoDaddy warnt, dass Angreifer über das Internet Code auf betroffenen Servern ausführen könnten. Mögliche Folgen reichen von Datendiebstahl über das Verunstalten von Websites bis zur vollständigen Kompromittierung des Systems.
WordPress-Betreiber müssen selbst aktiv werden
Wordfence, Anbieter eines verbreiteten Sicherheits-Plugins für WordPress, weist auf einen wichtigen Punkt hin: Jede WordPress-Installation läuft auf einem Server mit PHP. Die automatischen Updates von WordPress spielen den PHP-Fix jedoch nicht ein. Seitenbetreiber sollten daher klären, wer bei ihnen für die Aktualisierung von PHP zuständig ist, etwa der Hoster oder die eigene IT.
(red)
